Ransomware-rapport: 37 % af betalerne møder gentagne krav

Ransomwares virkelige profitmotor er ikke kryptering

I årevis har ransomware-forsvar fokuseret på ét øjeblik: det sekund, filer bliver låst. Men nye resultater dækket af The National CIO Review gør det klart, at kryptering ofte er den mindst værdifulde del af et ransomware-angreb for de kriminelle bag det. Den virkelige gevinst kommer fra datatyveri, og den gevinst stopper ikke, når løsesummen er betalt, eller systemerne er gendannet.

Ifølge rapporten betalte 54 % af de berørte organisationer et løsesumskrav. Det alene er ikke overraskende i betragtning af, hvor forstyrrende krypterede systemer kan være. Det, der skiller sig ud, er, hvad der skete derefter: 37 % af de organisationer, der betalte, modtog senere endnu et krav fra den samme eller en anden angriber. Med andre ord befandt mere end en tredjedel af ofrene, der troede, de havde afsluttet hændelsen, sig tilbage ved udgangspunktet og forhandlede igen om de samme stjålne data.

Hvorfor stjålne data fortsat betaler sig for angribere

Når angribere først eksfiltrerer data, inden de implementerer kryptering, får de flere, separate indtægtsstrømme, der ikke afhænger af, at ofrets systemer forbliver låst. Rapporten skitserer flere af disse:

• Trusler om offentliggørelse: Angribere truer med at lække følsomme filer, medmindre der foretages en anden betaling, selv efter den oprindelige løsesum for dekrypteringsnøgler.
• Videresalg af stjålne data: Oplysninger sælges på kriminelle markedspladser til andre trusselsaktører, uanset om det oprindelige offer betalte noget.
• Misbrug af legitimationsoplysninger: Brugernavne, adgangskoder og adgangstokens fundet i stjålne filer genbruges til at kompromittere andre konti eller systemer, nogle gange hos partnerorganisationer eller leverandører.
• Opfølgende angreb: Detaljer indsamlet fra et brud, såsom netværksdiagrammer, leverandørkontrakter eller intern kommunikation, gør fremtidige indtrængninger lettere og mere målrettede.

Dette er grunden til, at sikkerhedsforskere i stigende grad beskriver moderne ransomware som et datatyveriproblem med tilknyttet kryptering snarere end det modsatte. Kryptering forstyrrer driften i dage eller uger. Stjålne data kan bruges som våben i måneder eller år.

Et nyligt eksempel på denne dynamik, der udspillede sig offentligt, involverede Tata Electronics-bruddet, der lækkede iPhone 18 Pro-hemmeligheder, hvor en ransomware-gruppe, der kalder sig World Leaks, offentliggjorde følsomme, ikke-frigivne produktoplysninger efter at have fået adgang til interne systemer. Sager som denne illustrerer, hvordan stjålne virksomhedsdata bevarer værdi for angribere langt ud over den oprindelige indtrængning, og hvordan trusler om offentliggørelse alene kan tvinge organisationer ud i vanskelige beslutninger, selv uden en fungerende krypteringsnyttelast.

Hvorfor betaling ikke garanterer, at historien slutter

Tallet på 37 % for gentagne krav fortjener særlig opmærksomhed, fordi det undergraver en almindelig antagelse: at betaling af en løsesum afslutter hændelsen. I virkeligheden, når data først har forladt en organisations netværk, har ofret ingen mulighed for at verificere, at kopier blev destrueret, at angriberen ikke vil videresælge oplysningerne, eller at en anden gruppe ikke allerede har fået fat i de samme filer. Betaling adresserer krypteringsproblemet. Det gør intet for at adressere datatyveriproblemet, fordi disse data allerede er ude af ofrets kontrol i det øjeblik, de eksfiltreres.

Dette har direkte konsekvenser for, hvordan organisationer tænker på ransomware-beredskab. Backup- og gendannelsesplanlægning er vigtig for at få systemer online igen, men det gør intet for at forhindre en lækage, et videresalg eller et andet afpresningsforsøg. At forhindre eksfiltration i første omgang gennem netværkssegmentering, strenge adgangskontroller og minimering af, hvor meget følsomme data der lagres eller er tilgængelige i første omgang, er lige så vigtigt som gendannelsesplanlægning.

Hvad dette betyder for dig

Uanset om du administrerer IT for en lille virksomhed eller blot beskytter dine egne konti, er lektien fra disse data den samme: antag, at ethvert brud, der involverer dine oplysninger, kan resultere i løbende eksponering, ikke en enkeltstående hændelse. Hvis en virksomhed, du interagerer med, offentliggør et ransomware-angreb, skal du behandle det som en vedvarende risiko. Genbrugte adgangskoder, gamle kontooplysninger og personlige detaljer knyttet til det brud kan dukke op igen i credential-stuffing-forsøg eller opfølgende svindelnumre længe efter, at overskrifterne er forsvundet.

For organisationer er pointen at behandle dataminimering og netværkssegmentering som centrale ransomware-forsvar, ikke eftertanker. At begrænse, hvilke følsomme data der er tilgængelige fra et enkelt kompromitteret punkt, reducerer, hvor meget angribere kan stjæle, selv hvis de kommer ind.

Handlingsorienterede indsigter

• Brug unikke adgangskoder til hver konto, og opdater dem, hvis du får besked om et brud, der involverer dine data, selv måneder senere.
• Aktivér multifaktor-godkendelse, hvor det er muligt, for at mindske værdien af stjålne legitimationsoplysninger.
• Hvis du driver en virksomhed, så auditér, hvilke følsomme data der gemmes, og hvem der kan få adgang til dem; færre eksponerede data betyder mindre magt til angribere.
• Antag ikke, at en ransomware-hændelse er ovre, når en løsesum er betalt, eller systemer er gendannet. Overvåg for tegn på lækkede data eller fornyede afpresningsforsøg.
• Segmentér netværk, så en enkelt kompromitteret enhed eller konto ikke kan eksponere hele dit datamiljø.

Ransomwares største fordel er ikke den kryptering, der skaber overskrifter. Det er det datatyveri, der sker stille og roligt forinden og fortsat genererer værdi for angribere længe efter, at den oprindelige krise ser ud til at være løst.